第四章:电子商务安全.ppt
- 文档编号:2693554
- 上传时间:2022-11-07
- 格式:PPT
- 页数:48
- 大小:532KB
第四章:电子商务安全.ppt
《第四章:电子商务安全.ppt》由会员分享,可在线阅读,更多相关《第四章:电子商务安全.ppt(48页珍藏版)》请在冰豆网上搜索。
第4章电子商务安全4.14.1电子商务安全需求电子商务安全需求4.24.2电子商务网络安全电子商务网络安全4.34.3电子商务交易安全电子商务交易安全4.44.4电子商务安全认证协议电子商务安全认证协议4.14.1电子商务安全需求电子商务安全需求n电子商务面临的安全问题电子商务面临的安全问题n电子商务的安全需求电子商务的安全需求n电子商务安全体系电子商务安全体系4.1.1电子商务面临的安全问题n(11)信息传输风险)信息传输风险:
网上交易时,因传输的信息失真或者信息被非法窃取、篡改、或丢失,而导致交易的损失。
主要来自几个方面:
一、信息的篡改二、信息的截获和窃取三、信息假冒四、信息中断4.1.1电子商务面临的安全问题n
(2)信用风险信用风险:
由于买卖双方在电子交易中信用缺失,导致的损失。
一、买方信用风险:
如恶意透支、伪造证书、拖延付款时间等;二、卖方信用风险:
如拖延发货、不在约定地点交易、产品质量问题等。
三、买卖双方都存在抵赖现象:
如否认订单信息、改变商品价格等。
4.1.1电子商务面临的安全问题n(3)管理风险:
主要体现在交易流程管理风险、人员管理风险、交易技术管理风险等方面。
n(4)法律风险:
由于电子商务相关法律法规的不完善或滞后而无法保证合法交易的权益,产生交易损失。
4.1.2电子商务的安全需求n电子商务面临的威胁和风险,导致了对电子商务的安全需求。
在从事电子商务的活动中,在国际和国内现有法规的约束下和现有电子商务管理人员的操作下,在一定时期、一定范围内,电子商务安全关键在保护网络中的系统安全和交易数据、电子支付的完整性。
这决定了从事电子商务的几个安全要求:
4.1.2电子商务的安全需求n
(1)机密性。
电子商务的信息直接代表着个人、企业或者国家的商业或政治机密,要预防信息在传输过程中被非法窃取。
机密性主要通过加密技术来实现。
n
(2)完整性。
预防交易信息随意生成、修改和删除,预防数据在传输过程中丢失。
完整性一般通过数字摘要技术来实现。
4.1.2电子商务的安全需求n(3)认证性。
电子商务以电子形式取代了纸张,在交易过程中必须对交易者的身份加以确认,以保证交易主体的合法性,保证交易数据在确定的时间、确定的地点是有效的。
认证性主要是通过数字证书来实现的。
n(4)不可抵赖性。
在无纸化的电子交易中,由于网络的开放性和虚拟性,必须对交易的个体或组织进行身份确认,防止交易双方的抵赖。
不可抵赖性一般通过数字签名技术来实现。
4.1.3电子商务安全体系n通过对电子商务面临的安全风险和电子商务的安全需求两个问题进行的分析,我们可以明确对电子商务的安全管理,应当采用综合防范的思路,从网络技术、认证技术、管理、法律等多个方面去思考。
建立一个完整的电子商务安全体系。
4.1.3电子商务安全体系网络安全技术:
网络安全技术:
防病毒技术防病毒技术身份识别技术;身份识别技术;防火墙技术等;防火墙技术等;电电子子商商务务安安全全体体系系交易安全技术:
交易安全技术:
数据加密技术、加密算法;数据加密技术、加密算法;安全认证技术;安全认证技术;安全认证标准(协议)。
安全认证标准(协议)。
管理制度:
管理制度:
从业人员管理;从业人员管理;交易流程管理;交易流程管理;计算机网络管理等。
计算机网络管理等。
法律环境:
法律环境:
建立、健全电子商务的国际建立、健全电子商务的国际国内法律法规;国内法律法规;政府政策引导等。
政府政策引导等。
4.24.2电子商务网络安全技术电子商务网络安全技术n计算机网络安全威胁计算机网络安全威胁n计算机网络防病毒技术计算机网络防病毒技术n防火墙技术防火墙技术n虚拟专用网技术虚拟专用网技术4.2.1计算机网络的安全威胁n
(1)假冒实体:
假装成另外一个不同的实体(可能是人活着系统)是浸入某个安全防线的最通用的方法。
我们通常所说的“黑客”就是假冒合法的实体,使某个系统允许其访问或者进入。
n
(2)旁路控制:
攻击者发掘计算机网络系统上的“软肋”,通过一些漏洞侵入不被允许的系统内部。
4.2.1计算机网络的安全威胁n(33)特洛伊木马)特洛伊木马:
“木马”是一种秘密潜伏的能够通过远程网络进行控制的恶意程序。
控制者可以控制被秘密植入木马的计算机的一切动作和资源,是恶意攻击者进行窃取信息等的工具。
n(44)陷阱门:
)陷阱门:
指编程员在设计系统时有意建立的进入手段。
当程序运行时,在正确的时间按下正确的键,或提供正确的参数,你就能绕过程序提供的正常安全检查和错误跟踪检查。
4.2.1计算机网络的安全威胁n以上介绍的几种网络威胁普遍存在于Internet网络上。
还有一些潜在威胁存在于企业或组织的Intranet活着Extranet上,例如,企业网络管理人员操作不慎导致信息泄漏、计算机系统硬件软件出现故障、数据管理不善等。
n要实现网络安全,必须经常维护网络环境,如做好计算机安全配置、及时弥补系统漏洞、经常利用软件对系统进行安全检查、企业用户要安装防火墙、及时备份重要数据、安装防病毒软件等。
4.2.2计算机网络防病毒技术n
(1)概念:
计算机病毒是指,编制或者在计算机程序中插入的破坏计算机功能或者破坏数据,影响计算机使用并且能够自我复制的一组计算机指令或者程序代码。
刚才谈到的“木马”就是一种依附于“寄主”的计算机病毒。
在目前的网络环境下,利用Java、ActiveX的特性来撰写的病毒,把恶意程序编写在网页上,不需要“寄主”文件,也可以起到破环作用。
例如Java病毒。
病毒具有高度的传染性、破坏性、潜伏性、隐蔽性,严重可导致计算机系统瘫痪。
4.2.2计算机网络防病毒技术n
(2)防病毒技术:
防病毒技术主要包括预防病毒、检测病毒和消除病毒3个方面:
预防病毒技术,它通过自身常驻系统内存优先获得系统的控制制权,监视和判断系统中是否有病毒存在,进而阻止计算机病毒进入计算机系统和对系统进行破坏。
这类技术有加密可执行程序、引导区保护、系统监控与读写控制(如防病毒卡)等;检测病毒技术,它是通过对计算机病毒的特征来进行判断的技术,如自身校验、关键字、文件长度的变化等;消毒技术,它通过对计算机病毒的分析,开发出具有删除病毒程序并恢复原文件的软件。
4.2.2计算机网络防病毒技术n
(2)防病毒技术:
一般来说,当计算机出现以下不正常现象时,才应当怀疑其是否感染了病毒:
文件的大小和日期出现变化;系统启动速度是否比平时慢;没做写操作时出现“磁盘有写保护”的提示信息;对贴有写保护的软磁盘操作时音响很大;系统运行速度异常慢;键盘、打印、显示有异常现象;有特殊文件自动生成;磁盘空间自动产生坏簇或磁盘空间减少;文件莫名其妙有丢失;系统异常死机的次数增加;COMMAND.COM文件被修改;AUTOEXEC.BAT、CONFIG.SYS被修改;程序装入时间比平时长,访问磁盘时间比平时长;用户并没有访问的设备出现“忙”信号;出现莫名其妙的隐藏文件。
4.2.3防火墙技术n
(1)概念:
一种由计算机软件和硬件组成的隔离系统设备,在安全的企业内部网和大众的不安全的国际互联网之间构筑一道防护屏障,能按预先设置的条件对进出信息进行区分监控,实现内外有别。
具有识别用户身份、保护数据完整性;保护网络有效性;保护数据机密性;明确Intranet的工作区域等作用。
4.2.3防火墙技术n
(2)组成:
防火墙有以下几个部分组成:
外部过滤器用于保护网关免受来自Internet的攻击。
网关提供中继服务,以补偿过滤器的影响,辅助过滤器控制业务信息流内部过滤器用于对付网关受破坏后的结果4.2.3防火墙技术n(3)分类:
防火墙通常有两类:
包过滤式防火墙(分组过滤):
在信息包传输过程中检查所有通过的信息包中的IP源地址、目的地址、协议、端口等按照系统管理员给定的许多过滤规则进行过滤。
(网络级防护)应用级防火墙(代理服务器):
运行着专业的代理服务软件即应用级防火墙,在应用级别上提供安全防护服务。
(应用级别防护)4.2.4虚拟专用网技术虚拟专用网(VirtualPrivateNetwork,简称VPN)指的是企业内部网在公用网络上通过隧道技术或安全技术建立专用网络的技术。
其之所以称为虚拟网,主要是因为整个VPN网络的任意两个节点之间的连接并没有传统专网所需的端到端的物理链路,而是架构在公用网络服务商所提供的网络平台,如Internet、ATM(异步传输模式、FrameRelay(帧中继)等之上的逻辑网络,用户数据在逻辑链路中传输。
在这种网络中的主机不会察觉到公共网络的存在,但是可以实现和公用网络资源共享。
虚拟专用网成为构建Extranet的主流。
4.34.3电子商务交易安全技术电子商务交易安全技术n加密技术加密技术n安全认证技术安全认证技术n公钥基础设施(公钥基础设施(PKIPKI)4.3.1加密技术n
(1)基本概念:
加密:
通过密码算术对数据进行转化,使之成为没有正确密钥任何人都无法读懂的报文;解密:
把加密后的密文通过解密算法转化为明文;明文:
加密前的报文;密文:
加密后的报文;密钥:
在加密或者解密过程中使用的可变参数。
分为加密密钥和解密密钥。
密钥是一个数字,一种加密算法的安全性主要取决于密钥的长度。
4.3.1加密技术n
(1)基本概念:
CHINACHINACHINACHINAHMNSFHMNSFHMNSFHMNSF每个字符后移每个字符后移每个字符后移每个字符后移5555位位位位明文明文MM密钥密钥KK密文密文CC加密算法加密算法EE4.3.1加密技术n
(2)对称加密技术(单钥加密):
对信息的加密和解密均使用同一个密钥(或者是密钥对,但其中一个密钥可用通过另一个密钥推导而得)。
对称密钥体系的优点在于算法比较简单,加密、解密速度快。
但是也有不可避免的缺点,如加密、解密的密钥相同,要防止发送者与接收者之外的其他人获得,密钥分发和管理非常困难。
4.3.1加密技术n
(2)对称加密技术(单钥加密):
对称加密技术的典型代表:
DES数据加密标准(DataEncryptionStandard,DES)是IBM公司1977年为美国政府研制的一种算法。
DES是以56位密钥为基础的密码块加密技术。
它的加密过程一般如下:
一次性把64位明文块打乱置换。
把64位明文块拆成两个32位块;用机密DES密钥把每个32位块打乱位置16次;使用初始置换的逆置换。
4.3.1加密技术n(3)非对称加密技术(双钥加密、公钥加密):
在公钥密码系统中,加密密钥与解密密钥不同,并且从其中一个密钥推出另一个密钥在计算上非常困难。
其中一个密钥称为私钥,必须保密。
而另一个密钥称为公钥,可以公开。
当给对方发信息时,用对方公开密钥进行加密,而在接收方收到数据后,用自己的私密密钥进行解密。
或者发送方用自己的私钥进行加密,接收方用发送方的公钥进行解密。
非对称密钥系统优点在于密钥的管理非常简单和安全。
缺点,是密钥较长、加解密速度比较慢,对系统的要求较高。
4.3.1加密技术n(3)非对称加密技术(双钥加密、公钥加密):
4.3.1加密技术n(3)非对称加密技术(双钥加密、公钥加密):
非对称加密技术的典型代表:
RSARAS算法是由罗纳多瑞维斯特(Rivet)、艾迪夏弥尔(Shamir)和里奥纳多艾德拉曼(Adelman)联合推出的,RAS算法由此而得名。
RSA的原理是数论的欧拉定理:
寻求两个大的素数(质数)容易,但将它们的乘积分解开极其困难。
4.3.1加密技术n(3)非对称加密技术(双钥加密、公钥加密):
nRSA算法:
选取两个足够大的质数选取两个足够大的质数PP和和QQ;计算计算PP和和QQ相乘所产生的乘积相乘所产生的乘积nnPQPQ;找出一个小于找出一个小于nn的数的数ee,使其符合与(,使其符合与(PP11)(QQ11)互为质数;)互为质数;另找一个数另找一个数dd,使其满足(,使其满足(eded)MODMOD(PP11)(QQll)11。
其中其中MODMOD(模)为相除取余;(模)为相除取余;(n(n,e)e)即为公钥;(即为公钥;(nn,dd)为私钥。
)为私钥。
加密和解
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 第四 电子商务 安全